1. 为什么我突然想聊封装与安全的关系先交代一下背景。我从事半导体封装相关的工作有十来年早年间主要跟封装基板、引线键合、塑封料打交道那时候脑子里几乎没有安全这个概念。直到有一次参与一个安全芯片的量产项目遇到了一个让我印象极其深刻的状况芯片在功能测试、老化测试全部通过的情况下做安全认证时被第三方实验室质疑封装层存在物理泄露风险。那一刻我才意识到封装这个我以前觉得纯粹是力学和材料学的领域跟安全的关系竟然如此紧密。我相信不少做封装的朋友跟我有类似的感受我们对安全的理解可能长期停留在芯片里面有加密算法、有安全存储、有防攻击逻辑这一层觉得安全是数字设计的事情是SoC架构师的事情跟封装工程师没什么关系。但实际情况是封装在整个芯片生命周期里承担的角色远不止把die封起来、把引脚引出来这么简单。封装决定了芯片与外界交互的物理边界而这个物理边界恰恰是众多安全攻击的第一道入口也是最后一道防线。这篇文章我想系统梳理一下IC封装与安全之间相互影响的关系。我会从物理攻击的角度讲封装如何成为攻击面从安全需求的角度讲安全如何倒逼封装工艺和材料升级再聊一聊供应链层面封装环节的信任问题。内容不会太偏学术我会结合自己参与过的项目和一些公开的技术资料尽量讲清楚底层逻辑和实操中会遇到的问题。2. 物理攻击视角封装层其实是最容易被忽视的攻击入口很多安全从业者提到芯片安全第一反应是侧信道、故障注入、固件逆向这些词但很少有人会去想这些攻击最终是怎么落到芯片内部的答案几乎都要经过封装层。2.1 解密芯片从封装开封开始的攻击链芯片解密这个行当在电子元器件贸易圈里一直存在。所谓解密本质上就是绕过芯片的读保护机制把Flash或者EEPROM里的内容读出来。而这一步的第一步往往是开封(decap)。开封的目标是去除芯片表面的塑封料暴露出内部的die和走线。传统的方法是化学开封用发烟硝酸或者浓硫酸加热到一定温度沿着芯片封装的外形把环氧树脂溶解掉。这个操作看起来粗暴但实际上非常考验工艺控制温度太高、时间太长die表面的钝化层和金属层会受损时间太短塑封料溶不干净内部结构看不清楚。有经验的实验室用酸开封一颗普通的QFP封装芯片一般十几分钟就能完成而且能完整保留die表面的铝 pad和顶层金属走线。这里要提一个封装设计对解密难度的直接影响如果你用普通的环氧塑封料解密者拿到芯片后花几十块钱买瓶发烟硝酸就能开盖。但如果封装里用了带有二氧化硅填料比例极高的高硬度塑封料或者用了某种玻璃纤维增强的封装基材化学开封的效率会大幅下降酸解速度变慢解出来的die表面也可能因为应力释放而碎掉。也就是说封装材料的选择直接决定了解密攻击的代价高低。2.2 探针攻击为什么封装越薄越危险解密只是拿到芯片内部结构的第一步真正的数据提取往往需要探针台在显微镜下把探针扎到芯片内部的信号线上。传统上探针攻击主要针对芯片正面因为顶层金属走线基本暴露在die表面。但现代芯片普遍有多层金属互连真正敏感的信号比如安全存储的数据线往往埋在下面几层表面探针很难直接接触。不过有一类封装工艺反而给探针攻击提供了便利那就是芯片减薄。为了满足超薄封装、堆叠封装的需求晶圆背面会被研磨到很薄有的甚至磨到50微米以下。这时候如果芯片内部有一些信号线靠近背面攻击者可以反过来从背面研磨、开窗用聚焦离子束(FIB)在特定位置切出暴露点再用探针搭上去读取信号。我见过一个案例某款安全芯片为了做超薄SIM卡封装die被减薄到80微米结果安全评估中发现从背面用FIB开窗后可以较容易地触达内部存储阵列的控制信号。这不是说减薄工艺不能用而是说封装工程师在做减薄、划片这些步骤时要意识到厚度和应力参数不只是力学问题也可能是安全参数。很多时候安全风险和封装可靠性之间还存在矛盾封装越薄散热越好、体积越小但物理防护能力越弱。怎么权衡需要封装工程师跟安全设计团队坐下来一起谈而不是各做各的。2.3 侧信道分析与封装寄生参数的关系侧信道分析SCA是安全芯片最常见的攻击方式之一通过采集芯片运行时的功耗、电磁辐射来推断内部密钥。很多人以为侧信道分析纯粹是芯片内部逻辑的问题实际上封装对侧信道信号的泄露程度有着极大的影响。封装寄生参数——包括键合线或凸点的电感、电阻基板走线的耦合电容塑封料的介电常数——都会影响芯片工作时在外部可观测到的功耗波形和电磁辐射特性。键合线封装wire bond因为键合线本身有较大的寄生电感在时钟翻转时会产生明显的电源电压扰动这种扰动跟芯片内部操作直接关联等于给侧信道攻击者送上了免费的信号放大器。而倒装芯片封装flip chip因为凸点短而粗寄生参数小得多电源扰动就相对微弱相同攻击条件下要采集到有效信号会难一些。我参与过一个对比测试同一款安全MCU分别封装成LQFP键合金线和WLCSP直接凸点两种形式在相同的功耗采集设备下做CPA攻击。结果很直观——LQFP封装在几千条功耗曲线时就能攻破而WLCSP封装需要采集接近十万条曲线。同样一颗die仅仅因为封装形式不同侧信道攻击的难度差了将近两个数量级。注意这个对比不能简单理解成倒装封装就是安全的、引线键合就是不安全的。封装只是改变了泄露的强度并没有从根本上消除泄露。真正的防护仍需要设计层面的掩码、隐藏、随机时钟等对策。但封装设计师可以帮安全团队把泄露强度压到尽量低给后端防线减轻压力。2.4 故障注入封装如何成为故障注入的放大器或阻尼器故障注入攻击是通过瞬态扰动电压毛刺、时钟毛刺、激光照射、电磁脉冲让芯片在某个关键指令周期内发生计算错误从而跳过安全校验或泄露密钥信息。封装在这里扮演的角色主要体现在两条路径上一是电源/时钟引脚的外部扰动传导路径。键合线长、封装引线框架电感大的封装会让外部注入的电压毛刺更明显地传导到die内部。相反如果封装在电源引脚上预留了足够的去耦电容位或者封装基板内部集成了一定容值的电容毛刺波形会被削掉一部分故障注入的窗口就会变窄。二是激光故障注入的物理通道。激光故障注入需要有光路到达die表面或背面的特定晶体管区域。如果是BGA封装底部有基板和焊球激光从底部基本打不进去如果是QFP封装顶部的塑封料对可见光和近红外光有吸收但用特定波长的红外激光配合透过型塑封料依然能照进die内部。这些其实都属于芯片的物理暴露面管理跟封装直接相关。3. 安全视角对封装的倒逼当安全需求开始改写封装设计安全不只是给封装添麻烦反过来它也推动了不少封装技术和工艺的发展。以下几个方向是我观察到的、真实存在的趋势。3.1 主动屏蔽层在封装体内装一套防盗报警网主动屏蔽Active Shield不是新概念但在安全芯片封装里正在变得重要。原理不复杂在芯片最顶层的金属层上铺设一层带随机布线的网格网格里持续传输随机变化的校验信号。如果攻击者试图用FIB切断或跳过某条走线来探针主动屏蔽层会检测到信号异常立刻让芯片进入自毁或锁定状态。这种设计在早年主要做在die内部属于芯片设计团队的事。但现在有些先进封装方案把主动屏蔽层做到了中介层interposer或封装基板上。为什么因为芯片堆叠和异构集成越来越普遍多个die之间的互连走线裸露在基板表面攻击者可以在不触碰die的情况下从基板层面的走线上做探针或者电磁侦测。把屏蔽网格做在基板上相当于把安全边界从die扩展到了封装体。我调研过一些中介层主动屏蔽的公开专利方案上基本都是用随机数发生器驱动网格电压翻转并在基板走线层之间夹一层屏蔽层来增加FIB操作的难度。不过这类方案的代价也相当明显屏蔽网格本身占用了布线资源基板层数要增加加工良率会下降成本自然也上去。目前主要用在安全等级要求极高的金融、身份认证类芯片上。注意主动屏蔽的实际强度取决于网格线宽、线距、随机化程度。如果网格周期太规律攻击者可以通过长期观察反推校验模式如果线距太宽FIB切断一根线再跨接线也比较容易。个人经验是网格设计最好交给有安全背景的团队而非单纯由版图工程师来完成。3.2 传感器集成封装内部的温度、电压、光检测安全芯片通常需要检测环境异常。传统的做法是在die内部设计温度和电压传感器用来检测极端工作条件。但真正的物理攻击往往伴随更强的异常信号比如用红外激光加热局部区域时die表面的温度传感器未必能捕捉到足够快的温度上升而封装基板上的温度传感器、或者die边沿的温度监控单元反而可能更快感知到异常。现在有一些安全SoC的封装方案会在基板角落额外贴装检测器件包括微型温度传感器、光电二极管用于检测封装是否被开封、是否有激光照射甚至简单的振动传感器。这些器件跟die内部的安全微控制器联动一旦检测到异常可以直接触发密钥清除或安全状态锁定。但这里有个很现实的封装工程问题这些传感器贴在基板上之后跟die本身就不在同一个温度场里。die内部可能已经过热基板角落的传感器还反应迟钝。所以传感器布局不是随意放的需要做热仿真和攻击路径分析把传感器放在攻击者最可能接触的位置同时保证传感器本身不容易被攻击者绕过比如先拆掉传感器再继续攻击。3.3 封装材料的安全化从力学性能扩展到抗物理攻击能力传统封装材料选型主要考虑热膨胀系数匹配、粘接强度、吸湿性、可靠性这些指标。但现在行业里开始出现一个趋势把抗攻击能力作为一个选型维度这会让封装材料的选择产生新的权衡。例如当封装设计师选用高填料比例、超硬质的塑封料时芯片对化学开封的抵抗能力会明显增强这会提高解密攻击成本。但是硬质塑封料的热膨胀系数CTE往往与die和引线框架的CTE差异更大冷热循环下应力会更大可能导致分层或开裂。这就是安全和可靠性之间的矛盾需要把两者放在同一个评价体系里权衡。再比如有资料提到过在晶圆钝化层之上再做一层极薄的金属地屏蔽层faraday cage可以显著削弱电磁辐射泄露。这层屏蔽如果做在die内部需要额外的制造工序如果做在封装阶段通常是在塑封前先做一层屏蔽涂层。这层涂层的存在对传统塑封工艺的粘接力、热阻、可制造性都会带来新的挑战。做封装的朋友都知道任何工序的增减都不是随便决定的成本、良率、可靠性都是要逐一验证的。3.4 安全对封装可测性和良率的影响封装阶段的安全测试也是个很容易被忽略但实打实影响项目成败的环节。安全芯片封装完成后要做功能测试、老化测试但更重要的是确认安全功能在封装应力条件下没有受损。比如封装过程的高温、高压、超声键合会不会损伤die内部的安全存储单元的电荷保持能力塑封料的离子污染会不会在长期使用中影响安全存储的漏电特性这些都是封装可靠性跟安全可靠性交叉的领域。我在实际项目中遇到的典型问题是安全芯片在晶圆测试阶段PUF物理不可克隆函数的稳定性很好但封装完成后PUF的误码率明显上升。后来排查下来问题出在封装应力改变了某个环形振荡器的频率特性。也就是说封装不只是在物理上包住芯片它在电学上也在实实在在改变芯片的行为。做安全芯片的封装验证时不能只测常规的漏电流、开短路还要把安全参数PUF误码率、TRNG熵源质量、安全存储保持时间纳入封装验证矩阵。4. 供应链视角封装环节的安全信任链条与假冒风险IC安全从来不只是设计端的技术战供应链每个环节都可能成为攻击点。封装作为芯片从晶圆到成品的关键一站既是信任链上的一环也可能是被突破的一环。4.1 封装如何被引入假冒风险假冒芯片的问题在行业里由来已久但封装环节在其中的角色往往被低估。最常见的路径是有缺陷的晶圆或芯片从正规渠道流出经过非授权封装厂重新封装、打标然后冒充新器件流入市场。这类芯片往往功能测试都吃力更谈不上安全功能可信。还有一种情况是回收料翻新——旧芯片从报废板上拆下来重新打磨顶盖、重新打标再以全新品名义出售。这种情况下芯片内部的密钥可能根本没有被彻底清除。针对假冒芯片的防范封装设计上其实有可以发力的地方比如在封装表面设计独特的物理指纹结构或利用封装工艺中的随机特征来做防伪标记。有些厂商在基板上添加不可复制的微型二维码或纳米级图案需要专门设备才能读出。这些方案的成本差异很大具体选型还是要看应用的安全等级和商业价值。4.2 异地封测的信任模型芯片设计公司出于产能和成本考虑往往会把封装测试外包到不同国家和地区的封测厂。每到这时候异地封测的信任问题就会被摆上桌面你怎么知道外包封装厂没有偷偷复制你的晶圆你怎么知道封装过程中没有恶意插入后门对这个问题行业里已有的做法包括让封测厂签订保密协议实现流程审计在关键步骤如晶圆切割、键合、打标设置影像记录甚至派驻厂人员。但从技术层面来讲如果封装厂本身就有作恶动机很多传统手段是防不住的。因此一些高安全等级芯片会选择在自有或控股封测厂完成封装或者采用额外加密封装模式让封测厂无法完整接触芯片有效信息。提示如果你负责的项目有安全认证需求比如CC EAL高等级安全评估安全认证专家通常会对供应链的每个环节做风险分析包括封装厂的生产记录、访问控制、日志留存。提前让封测厂知道这些要求会在后续认证过程中省下不少来回沟通的功夫。4.3 封装节点作为信任根的一部分在可信计算的概念里信任根Root of Trust, ROT是系统安全的锚点。传统上这个锚点是固件或芯片内的一个硬件模块。但在现代安全体系里封装本身也能成为信任根的一部分因为它提供了物理上的不可绕过边界。一些厂商开始尝试在封装基板中嵌入不挥发性存储或物理不可克隆函数PUF将密钥的一部分绑定在封装层。这样即使攻击者把die完整提取出来也无法单独使用die内部的数据因为缺失封装层PUF提供的密钥因子。这种方案从逻辑上很漂亮但实现上有相当多的挑战PUF的读取稳定性和温度特征要经过封装工艺认证基板制造与die集成也需要新的可靠性验证。目前这更多是行业的前沿方向真正量产的公开案例不多。5. 封装与安全的相互影响从各自为战走向共同设计前面几节分别从攻击和防御两个方向分析了封装与安全的关系这一节我想把两者结合起来谈一谈设计方法论的转变。5.1 安全封装的威胁建模从芯片边界到系统边界传统芯片设计习惯把安全边界画在die内部认为封装只是把die的引脚延长出来而已安全威胁主要存在于die内部逻辑和存储。但我在前面已经反复强调物理攻击其实高度依赖封装层的可接触面。一个理性的威胁建模应该把封装结构纳入考虑范围。具体操作上可以这么思考攻击者拿到芯片后会怎么接近敏感信号如果是BGA封装攻击者可能从底部开孔直达基板如果是引线键合封装是否可以直接用探针接触键合指如果是倒装封装背面暴露的die是否更容易被激光攻击把这些问题放到威胁模型里封装结构设计就有了明确的取舍依据。市面上常见的TCPA/TPM芯片多使用BGA封装除了电气性能优势很大程度上也是出于物理防护考虑BGA底部的焊球矩阵让直接接触die变得更加困难。但BGA封装也并非无懈可击攻击者可以通过X射线定位die的位置再从顶部研磨开窗。所以安全封装没有一劳永逸的。5.2 封装工程师与安全工程师的协作流程我见过太多项目封装工程师只管接封装需求安全工程师只管做算法和电路设计两拨人直到流片前才碰一次头。这类项目往往到安全评估阶段才会暴露出各种封装层面的问题——要么材料不满足安全要求要么外形尺寸挡不住某种攻击路径这时候再改封装方案周期和成本都会非常难看。相对合理的协作流程应该在三到四个节点上有明确的交集芯片整体架构阶段安全架构师定义安全边界和威胁模型封装工程师评估不同封装方案对威胁模型的覆盖程度同时提供不同封装的成本和良率数据。版图设计阶段安全团队提出探针检测、主动屏蔽、传感器布局的需求封装工程师把需求落实到具体的基板层叠、凸点布局、划片道设计中。封装工艺开发阶段安全测试团队加入封装可靠性验证矩阵确认封装应力不影响安全参数。安全评测阶段封装工程师参与支持安全认证的物理评估环节解释封装方案的防护机制和测试结果。这个流程听起来繁琐但实际执行后我发现它对项目顺利度的影响非常大。因为很多封装和安全的冲突在设计阶段只是一张图纸上的线条到了量产阶段就变成一张张报废单和客诉单。5.3 一个典型的封装安全设计评审清单我把自己在项目里用过的一份封装安全评审清单整理出来供大家参考。这份清单不追求大而全而是聚焦在封装与安全交集最紧密的几个问题上。评审维度核心问题涉及角色物理暴露面芯片内部敏感区域是否被封装完全覆盖从哪些路径可以接近封装设计、安全架构材料抗攻击性塑封料/基板材料对化学开封、激光穿透的防护水平如何封装材料、安全测试侧信道泄露封装寄生参数对功耗/电磁泄露的增强or抑制程度如何封装设计、安全评估传感器覆盖温度/光/电压传感器是否覆盖已知攻击路径封装设计、安全架构可测性封装测试项是否覆盖安全参数PUF、TRNG测试工程、封装工程供应链信任封测厂是否有足够的访问控制和审计能力供应链管理、安全审计失效模式分析封装失效分层、裂缝是否会暴露内部信号可靠性工程师、安全工程师这份清单里的每一条展开来都能写出一个专题但它已经足够作为一个项目启动时的检查框架。如果你所在团队还没有类似评审机制可以考虑先从这个表单出发建立一套轻量级的评审流程。5.4 成本、性能与安全的三方博弈最后说一个绕不开的问题——成本。安全封装设计在每一个环节都会增加成本更高等级的塑封料、额外的屏蔽层、传感器件、更严苛的测试流程、更长的供应链审计周期。这些成本最终都会摊到芯片的单价上。从商业决策的角度看安全投入的多少完全取决于芯片的使用场景。一颗用于智能门锁的无线MCU如果本身处理的数据价值有限那花大价钱做物理防护就不一定划算但一颗用于移动支付的安全芯片如果密钥泄露会导致金融级风险那么在封装上多投钱反而是在降低整体风险成本。在实际项目中我倾向于跟团队强调一个观点安全封装不是把每一层都做到最强而是根据应用场景给攻击者设置足够高的门槛让攻击成本超过被保护数据的价值。这个思路听起来简单但能让安全封装的设计避免为了安全而安全的过度设计也能让封装工程师把更多精力花在刀刃上。6. 我的几点实操体会与展望写到这里还是想把自己这些年积累的一些更具操作性的体会总结一下。这些内容可能不一定被教科书收录但都是我实实在在工作中的真实感受。6.1 材料选型的安全考量要趁早很多安全芯片项目在选塑封料和基板材料时基本只看热膨胀系数和粘接强度。等到安全评估发现材料抗化学开封能力不足、需要换成高填料比例的硬质材料时往往面临重新做可靠性验证、重新做注塑参数优化的困境。所以在选材阶段就要把安全团队拉进来针对目标威胁等级先做个粗筛好过事后返工。我有个习惯凡是做安全等级较高的芯片项目都会在选材阶段亲自拿几颗用目标材料封装的测试样品做一次简单的化学开封试验看看实际溶解速度和Die状况作为材料评价的一个非标准但很有效的补充维度。6.2 测试向量里一定要有安全专项常规的封装测试关注点在于开短路、接触电阻、绝缘漏电流但安全芯片封装测试里建议额外加一组针对安全特性的专项测试。比如封装的机械应力是否让PUF误码率上升温度循环后的TRNG熵源质量是否退化塑封料的离子污染是否导致安全存储的保持能力下降这些测试项不一定需要高端的ATE设备很多可以在实验室里用标准仪器完成但却能提前发现很多要等到量产或客户终端才暴露的严重问题。我见过一个项目就是因为封装化学开封检测没过不得不把整个封装方案推倒重来。那一次返工耽误了差不多四个月项目成本上的痛感会留在你心里。6.3 与安全评测机构保持良性沟通如果你的芯片计划做第三方安全认证建议在项目早期就找评测机构进行预沟通。评测机构对不同封装方案的攻击难度有自己的评估经验和工具这些信息往往能帮你在设计初期避开一些大坑。我有一次在封装方案还不确定时带了三个候选方案LQFP、QFN、BGA去跟评测机构聊对方直接指出其中某个方案在X射线和背向攻击下有明显的软肋这让我们的方案选型有了非常明确的依据。记住评测机构不是来找茬的他们的目标是用合理的成本帮你验证方案越是早期介入越能帮你在成本和安全之间找到最佳平衡点。6.4 未来方向异构集成时代的安全封装先进封装趋势——Chiplet、2.5D/3D、混合键合——正在把封装本身变成一个小型系统。在这个趋势下封装安全会面临两个方向的延伸。一是跨die攻击Chiplet架构中多个die通过中介层互连攻击者可能不再针对单个die而是从中介层的长走线上更容易地耦合窃听信号。二是安全隔离多个来源的die被集成在同一个封装内如何保证互不信任的die之间数据安全隔离将成为封装设计新的挑战。这些方向目前都还没有成熟的行业标准或设计方法但对从业者来说反而是个机会。如果你既懂封装工艺又理解安全设计逻辑未来几年会非常有竞争力。我个人的体会是单一领域的专家在跨界问题上往往面临团队协作的摩擦而封装和安全这种交叉领域最具开拓价值的地方恰恰在于你能比其他人先看到整张图。封装与安全正如标题所说确实互相影响。封装层面的一些微小改动可能在安全层面带来颠覆性的效果而安全需求的升级往往迫使封装工艺做出意料之外的调整。这不是一个做完就了事的静态课题而是一个需要在每一个项目迭代中反复审视和权衡的动态过程。希望这篇分享能给你带来一些不一样的视角也期待跟同行们有更多碰撞。